IT forenzika · Istražne vlasti

Može li se datoteka povezati s određenim medijem za pohranu kao njezin izvorni izvor?

Identische Dateien können auf mehreren Medien vorhanden sein.

Zašto je ovo pitanje važno istražnim vlastima

U složenim kaznenim istragama rijetko je dovoljan samo jedan tehnički podudaranje. Ključni je čimbenik jesu li uređaj, račun, korisnik, Server i referencije u oblaku pravilno odvojeni jedni od drugih, a zatim povezani samo ondje gdje podaci doista podupiru takvu vezu.

Tehnički istraživački pristup

Wir prüfen Dateisystemmetadaten, historische Pfade, Geräte- und Transferbezüge und vergleichen Zeit- und Inhaltsmerkmale.

Gdje leže granice onoga što se može reći

Identischer Dateiinhalt allein beweist nicht, welcher Datenträger die ursprüngliche Quelle war.

Zašto LanCologne?

LanCologne nadopunjuje interne kapacitete istražnog tijela kada je potrebna složena, specijalizirana tehnička pitanja, neovisna provjera ili dodatna detaljna analiza. Polazna točka je uvijek konkretno pitanje koje se istražuje.

Ne radimo s ciljem potvrđivanja unaprijed postojeće hipoteze. Tehnička otkrića koja ukazuju na krivnju ili nevinost ocjenjuju se prema istim kriterijima. To je osobito važno u složenim korporativnim, cloud i okruženjima s više uređaja, jer identičan sadržaj, računi ili mrežni tragovi često mogu imati nekoliko tehnički vjerojatnih uzroka.

Izvorni podaci su jasno dokumentirani. Gdje je to tehnički izvedivo, analiza se provodi na provjerenim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Kritični rezultati se ne prihvaćaju isključivo na temelju automatiziranog izvještaja. Provjeravaju se njihovo podrijetlo, logika njihove generacije i kontekst sustava; gdje je potrebno, ključni nalaz se potvrđuje primarnim podacima ili neovisnom sekundarnom metodom.

Nalazi su formulirani na način da istražitelji i tužitelji mogu utvrditi što je tehnički dokazano, što je samo potkrijepljeno dokazima, koji postoje kontradiktorni nalazi i koja su pitanja ostala neriješena. Ključna tehnička osnova ostaje jasno dokumentirana za naknadnu sudsku reviziju.

Od sažetka istrage do pouzdane izjave

1Definirajte opseg istrage, obuhvat ispitivanja i tehničko sustavno okruženje.

2Provjerite trebaju li dodatni izvori podataka ili kontekstualne informacije za iznošenje čvrste tvrdnje.

3Jasno dokumentirajte dokaze i izvore podataka te provjerite njihov integritet što je više moguće.

4Razdvojite međusobne reference uređaja, računa, sesije, Server i oblaka.

5Definirajte hipotezu testa koja će se testirati i tehnički prihvatljive alternativne hipoteze.

6Sistematizirano analizirati relevantne primarne izvore i procijeniti ključne zapise ili artefakte u kontekstu sustava.

7Usklađujte nalaze iz različitih izvora s obzirom na vrijeme i metodologiju.

8Neovisno provjerite automatizirana podudaranja koja se odnose na točke dokaza.

9Otvoreno dokumentirajte nedosljednosti, praznine u pokrivenosti i tehnička ograničenja.

10Jasno odgovorite na istraživačko pitanje i omogućite naknadnu tehničku recenziju.

Nalazi koji potvrđuju ili opovrgavaju dijagnozu

Istraga ostaje otvorena. Ako nekoliko pouzdanih izvora potvrdi određenu liniju istrage, njihov se tehnički odnos prikazuje na jasan i razumljiv način. Ako drugi izvori to opovrgavaju ili ako alternativno tehničko objašnjenje ostaje moguće, i to se dokumentira. Nije uloga stručnjaka rješavati kontradikcije u korist željenog narativa.

Razumljivo istražnim tijelima, obrani i sudu

Glavni nalaz je formuliran jasnim jezikom. Tehnički odjeljak dokumentira izvore, vremenske reference, identitete, informacije o integritetu i korelacije koje su ključne za pregled. To omogućuje drugom kvalificiranom IT forenzičkom stručnjaku da naknadno provjeri ključne nalaze koristeći isti skup podataka.

LanCologne kao neovisni vanjski IT forenzički stručnjak

Kada agencija za provedbu zakona treba da složeni digitalni predmet bude detaljno ili neovisno ispitano, LanCologne pruža podršku kroz transparentnu, nepristranu istragu. Fokus nije na broju tehničkih nalaza, već na pružanju pouzdanog odgovora na specifično pitanje koje se istražuje.

Pravni okvir

Odgovornost za provođenje istrage i davanje pravnih procjena ostaje na nadležnim tijelima za provedbu zakona. Članak 160 Zakonika o kaznenom postupku (StPO) nalaže Državnom odvjetništvu da utvrdi činjenice slučaja i izričito ga obvezuje istražiti i okolnosti koje terete i one koje oslobađaju. Prema članku 161. Zakonika o kaznenom postupku, Državno odvjetništvo može samostalno provoditi istrage ili ih povjeriti tijelima i policijskim službenicima; članak 163. Zakonika o kaznenom postupku propisuje dužnosti policije tijekom predistražnih radnji.

U načelu se odjeljci 72 i sl. Zakonika o kaznenom postupku (StPO) primjenjuju na vještake. Članak 161a(1) StPO-a zahtijeva od vještaka da se na poziv odazovu pred državnim odvjetništvom i daju svoje vještačko mišljenje; osim ako nije drugačije propisano, odredbe članka 7. Knjige I primjenjuju se mutatis mutandis. Članak 82. Zakonika o kaznenom postupku (StPO) odnosi se na oblik u kojem se vještački nalazi pripremaju tijekom predistražnog postupka.

Zapljena i konfiskacija uređene su, između ostalog, člancima 94. i 98. Zakonika o kaznenom postupku. Članak 110. stavak 3. Zakonika o kaznenom postupku uređuje pregled elektroničkih medija za pohranu podataka i, pod uvjetima u njemu navedenima, također dopušta osiguranje podataka relevantnih za istragu. Odluke o zakonitosti, opsegu i nalogu za takve mjere donose nadležne državne vlasti, a ne LanCologne.

Prema odjeljku 1. stavku 3. JVEG-a, angažman policije ili druge policijske vlasti u ime državnog odvjetništva ili uz njegovu prethodnu suglasnost smatra se jednakovrijednim angažmanu državnog odvjetništva u svrhu naknade.

Često postavljana pitanja

Može li se datoteka povezati s određenim medijem za pohranu kao njezin izvorni izvor?+

Identische Dateien können auf mehreren Medien vorhanden sein. In komplexen Ermittlungsverfahren reicht ein einzelner technischer Treffer selten aus.

Kako se takva tehnička istraga provodi u praksi?+

Wir prüfen Dateisystemmetadaten, historische Pfade, Geräte- und Transferbezüge und vergleichen Zeit- und Inhaltsmerkmale.

Donosi li istraga uvijek jasan rezultat koji okrivljuje ili oslobađa osumnjičenika?+

Identischer Dateiinhalt allein beweist nicht, welcher Datenträger die ursprüngliche Quelle war.

Postoji li za ovo pravna osnova?+

Odgovornost za provođenje istrage i davanje pravnih procjena ostaje na nadležnim tijelima za provedbu zakona. Članak 160 Zakonika o kaznenom postupku nalaže državnom odvjetništvu da utvrdi činjenice slučaja i izričito ga obvezuje istražiti i okolnosti koje terete i one koje oslobađaju.